Pourquoi l’Italie a-t-elle bloqué ChatGPT?

Vendredi, l’autorité italienne de protection des données, le Garante per la protezione dei dati personali, a annoncé une limitation immédiate et temporaire de la façon dont OpenAI traite les données des personnes en Italie. Elle a aussi ouvert une enquête. Dès la fin de semaine, OpenAI avait désactivé ChatGPT pour les utilisateurs italiens. La BBC présente l’Italie comme le premier pays occidental à bloquer le robot conversationnel.

La décision ne porte pas sur la question de savoir si l’IA est bonne ou mauvaise. Elle porte sur la loi sur la protection de la vie privée. L’Italie, comme le reste de l’Union européenne, applique le Règlement général sur la protection des données (RGPD), qui fixe des règles sur la façon dont les organisations recueillent, utilisent et conservent les données personnelles, c’est-à-dire toute information liée à une personne identifiable. La question du Garante est de savoir si ChatGPT respecte ces règles.

Les quatre préoccupations de l’ordonnance

Le communiqué de l’autorité expose ses raisons. En termes simples :

1. Aucune information. Les personnes dont OpenAI recueille les données, y compris les utilisateurs, ne reçoivent pas l’information que la loi exige sur ce qui est recueilli et pourquoi.
2. Aucune base juridique pour l’entraînement. C’est le point central. Le Garante affirme qu’il ne semble y avoir aucun fondement juridique à la collecte et à la conservation massives de données personnelles pour « entraîner » les modèles derrière ChatGPT. Selon le RGPD, toute utilisation de données personnelles exige une justification reconnue.
3. Des données inexactes. L’autorité note que les réponses de ChatGPT ne correspondent pas toujours aux faits. Quand un modèle affirme quelque chose de faux sur une personne réelle, ce sont des données personnelles traitées de façon inexacte.
4. Aucune vérification de l’âge. Les conditions d’OpenAI indiquent que le service s’adresse aux personnes de plus de 13 ans, mais rien ne vérifie l’âge d’un utilisateur, ce qui, selon le Garante, expose les enfants à des réponses inappropriées.

Le communiqué mentionne aussi une fuite de données survenue le 20 mars, au cours de laquelle des conversations de certains utilisateurs et des renseignements de paiement d’abonnés payants ont été exposés.

OpenAI n’a pas de bureau dans l’Union européenne, mais elle a désigné une personne pour la représenter dans l’Espace économique européen. L’entreprise a 20 jours pour indiquer au Garante ce qu’elle fait pour se conformer. Sinon, elle s’expose à une amende pouvant atteindre 20 millions d’euros ou 4 % de son chiffre d’affaires annuel mondial.

Comment OpenAI et d’autres réagissent

OpenAI a déclaré à la BBC qu’elle estime respecter le RGPD et les autres lois sur la protection de la vie privée, et qu’elle s’efforce de réduire les données personnelles dans l’entraînement parce qu’elle veut que ses systèmes apprennent sur le monde, pas sur des particuliers. Elle dit espérer ramener bientôt ChatGPT en Italie.

D’autres autorités suivent l’affaire de près. L’autorité irlandaise de protection des données affirme avoir communiqué avec le Garante pour comprendre la décision et qu’elle se coordonnera avec les autres autorités de l’Union européenne. Le groupe européen de défense des consommateurs BEUC a réclamé des enquêtes sur les robots conversationnels de façon plus large. Beaucoup d’observateurs s’attendent à ce que d’autres autorités européennes posent des questions semblables au cours des prochaines semaines.

Un exemple concret : ce qu’un robot conversationnel « sait » sur une personne

La préoccupation sur l’exactitude est facile à constater par vous-même. Interrogez un robot conversationnel sur une personne qui n’est pas célèbre, mais qui a une petite présence publique, comme le propriétaire d’un commerce local ou une enseignante à la retraite mentionnée quelques fois dans les journaux. Le modèle peut produire une biographie assurée qui mêle des détails réels à des détails inventés. C’est une erreur dans tous les cas. Selon la loi sur la protection de la vie privée, ce peuvent aussi être des données personnelles inexactes sur une personne vivante, et c’est pourquoi l’autorité a soulevé ce point.

Que signifie cette décision pour vos données personnelles?

Si vous vivez en Italie, ChatGPT n’est pas accessible pour l’instant, et la suite dépendra de ce qu’OpenAI dira au Garante dans le délai de 20 jours. Si vous vivez ailleurs, rien ne change aujourd’hui dans le fonctionnement du service, mais les questions soulevées par le Garante vous concernent aussi.

La leçon la plus pratique porte sur ce que vous tapez. Tout ce que vous entrez dans un robot conversationnel, ce sont des données que vous confiez à une entreprise. La fuite du 20 mars rappelle que des conversations peuvent être exposées par erreur. Une bonne habitude consiste à garder les détails identifiants hors de vos prompts : noms de clients ou d’élèves, renseignements de santé, adresses, numéros de compte et tout ce que vous ne voudriez pas voir lu par un inconnu. Vous pouvez généralement obtenir la même aide en décrivant une situation en termes généraux.

Voici un message d’un client (noms retirés) :
« [colle le message en remplaçant les noms, les courriels et les numéros de commande par des espaces réservés] »
Rédige une réponse polie qui s’excuse du retard et propose deux options.

La deuxième leçon porte sur les données d’entraînement. La principale plainte du Garante concerne la façon dont des renseignements personnels se retrouvent dans le matériel dont les modèles apprennent. C’est une question que les entreprises et les autorités devront régler, mais elle explique pourquoi vous pourriez voir davantage d’avis de confidentialité, de réglages et de vérifications d’âge dans les services d’IA en Europe. Lire ces avis, plutôt que de cliquer sans les regarder, vous apprend ce qu’un service fait de vos conversations.

Enfin, considérez tout fait personnel qu’un robot conversationnel vous donne, sur vous ou sur d’autres, comme non vérifié. Le point de l’autorité sur l’inexactitude rejoint le conseil que donnent les enseignants au sujet de n’importe quelle source unique : vérifiez-la avant de la répéter.